Sortera och undersöka incidenter med guidade svar från Microsoft Copilot i Microsoft Defender

Microsoft Security Copilot i Microsoft 365 Defender stöder team för incidentsvar för att omedelbart lösa incidenter med guidade svar. Copilot i Defender använder funktioner för AI och maskininlärning för att kontextualisera en incident och lära sig från tidigare undersökningar för att generera lämpliga svarsåtgärder.

Den här guiden beskriver hur du får åtkomst till funktionen för guidade svar, inklusive information om hur du ger feedback om svaren.

Ha kunskap innan du börjar

Om du inte har använt Copilot for Security tidigare bör du bekanta dig med det genom att läsa följande artiklar:

• Vad är Copilot för säkerhet?
• Copilot för säkerhetsupplevelser
• Kom igång med Copilot for Security
• Förstå autentisering i Copilot for Security
• Fråga i Copilot för säkerhet

Att svara på incidenter i Microsoft Defender-portalen kräver ofta kunskap om portalens tillgängliga åtgärder för att stoppa attacker. Dessutom kan nya incidenthanteringspersonal ha olika idéer om var och hur de ska börja svara på incidenter. Den guidade svarsfunktionen av Copilot i Defender gör det möjligt för team för incidentsvar på alla nivåer att tillämpa svarsåtgärder på ett säkert och snabbt sätt för att enkelt lösa incidenter.

Copilot för säkerhetsintegrering i Microsoft Defender

Guidade svar är tillgängliga i Microsoft Defender-portalen för kunder som har etablerat åtkomst till Copilot for Security.

Guidade svar är också tillgängliga i den fristående copilot-funktionen för säkerhet via Microsoft Defender XDR plugin-programmet. Läs mer om förinstallerade plugin-program i Copilot for Security.

Nyckelfunktioner

Guidade svar rekommenderar åtgärder i följande kategorier:

• Sortering – innehåller en rekommendation för att klassificera incidenter som information, sant positiva eller falskt positiva
• Inneslutning – innehåller rekommenderade åtgärder för att begränsa en incident
• Undersökning – innehåller rekommenderade åtgärder för vidare undersökning
• Åtgärd – innehåller rekommenderade svarsåtgärder som ska tillämpas på specifika entiteter som är inblandade i en incident

Varje kort innehåller information om den rekommenderade åtgärden, inklusive den entitet där åtgärden måste tillämpas och varför åtgärden rekommenderas. Korten framhäver också när en rekommenderad åtgärd utfördes av automatiserad undersökning som attackstörningar eller automatiserade undersökningssvar.

De guidade svarskorten kan sorteras baserat på den tillgängliga statusen för varje kort. Du kan välja en specifik status när du visar de guidade svaren genom att klicka på Status och välja lämplig status som du vill visa. Alla guidade svarskort oavsett status visas som standard.

Utför följande steg för att använda guidade svar:

1. Öppna en incidentsida. Copilot genererar automatiskt guidade svar när en incidentsida öppnas. Copilot-fönstret visas till höger på incidentsidan och visar de guidade svarskorten.

   

2. Granska varje kort innan du tillämpar rekommendationerna. Välj ellipsen Fler åtgärder (...) ovanpå ett svarskort för att visa de alternativ som är tillgängliga för varje rekommendation. Här är några exempel.

   

   

3. Om du vill tillämpa en åtgärd väljer du önskad åtgärd på varje kort. Den guidade svarsåtgärden på varje kort är skräddarsydd för typen av incident och den specifika entitet som ingår.

   

4. Du kan ge feedback till varje svarskort för att kontinuerligt förbättra framtida svar från Copilot. Om du vill ge feedback väljer du feedbackikonen som finns längst ned till höger på varje kort.

Copilot hjälper till att påskynda analytikernas undersökningsuppgifter. När en incident kräver ytterligare undersökning av en användaraktivitet föreslår Copilot text som analytiker kan använda för att kommunicera med en användare. Det guidade svarskortet innehåller en kontaktanvändare i Teams eller åtgärden Kopiera till Urklipp som kopierar den föreslagna texten till Urklipp. Analytiker kan sedan klistra in texten i ett e-postmeddelande eller ett annat kommunikationsverktyg. Analytikern kan också få mer kontext om användaren via åtgärden Visa användare .

Copilot stöder även incidenthanteringsteam genom att göra det möjligt för analytiker att få mer kontext om svarsåtgärder med ytterligare insikter. För åtgärdssvar kan team för incidentsvar visa ytterligare information med alternativ som Visa liknande incidenter eller Visa liknande e-postmeddelanden.

Åtgärden Visa liknande incidenter blir tillgänglig när det finns andra incidenter i organisationen som liknar den aktuella incidenten. På fliken Liknande incidenter visas liknande incidenter som du kan granska. Microsoft Defender identifierar automatiskt liknande incidenter i organisationen via maskininlärning. Team för incidentsvar kan använda informationen från dessa liknande incidenter för att klassificera dem och ytterligare granska de åtgärder som utförs i dessa liknande incidenter.

Åtgärden Visa liknande e-postmeddelanden är specifik för nätfiskeincidenter och tar dig till sidan avancerad jakt där en KQL-fråga för att visa liknande e-postmeddelanden i organisationen genereras automatiskt. Den här automatiska frågegenereringen som är relaterad till en incident hjälper team för incidentsvar att undersöka andra e-postmeddelanden som kan vara relaterade till incidenten. Du kan granska frågan och ändra den efter behov.

Exempel på guidad svarsprompt

I den fristående portalen Copilot for Security kan du använda följande prompt för att generera guidade svar:

• Generera guidade svar och rekommendationer för Defender-incidenten {incident-ID}.

Ge feedback

Microsoft uppmuntrar dig starkt att ge feedback till Copilot, eftersom det är avgörande för en funktions kontinuerliga förbättring. Om du vill ge feedback går du till botten av Copilot-sidopanelen och väljer feedbackikonen .

Se även

• Lär dig mer om andra inbäddade upplevelser i Copilot for Security
• Sekretess och datasäkerhet i Copilot for Security